CVE-2026-69115
Təsvir
OpenIM Server v3.8.3 versiyasında hər hansı autentifikasiya olunmuş istifadəçinin adi istifadəçi bearer tokeni ilə /user/get_users, /user/get_all_users_uid və /group/get_groups ünvanlarına POST sorğuları göndərməklə yalnız administratorlara məxsus idarəetmə API son nöqtələrinə daxil olmasına şərait yaradan avtorizasiyanın çatışmazlığı zəifliyi mövcuddur. Hücumçular GetPaginationUsers, GetAllUserID və GetGroups handler-lərində authverify.CheckAdmin() çağırışının olmamasından istifadə edərək, userID-lər, ləqəblər və menecer səviyyəsi bayraqları daxil olmaqla bütün platforma istifadəçi hesablarını, həmçinin istifadəçinin heç vaxt qoşulmadığı özəl qruplar da daxil olmaqla bütün qrupları (qrup adları, sahib ID-ləri və üzv sayı) aşkar edə bilərlər.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| OpenIMSDK OpenIM Server (open-im-server) | v ≤ 3.8.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.